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Dispositif de controle securise de commutation de donn6es 



L' invention concerne le domaine de la commutation de trames 
(ou cellules) de donn6es, et plus particulierement les dispo- 
sitif s de controle pour commutateur num^rique multivoies. 

Le mot "trame" doit etre ici entendu dans sa definition la 
plus large, dans la mesure ou il designe tous les types de 
messages formes d'une multiplicity de champs ordonn^s selon 
des formats predetermines. De meme, le mot "donnee" doit etre 
entendu dans sa definition la plus large, dans la mesure ou 
il designe toutes les informations contenues dans un message, 
y compris les informations concernant l'emetteur du message 
(ou source), le (ou les) destinataire ( s ) de ce message, ou 
encore le type de ce message. 

De tels commutateur s comprennent classiquement des circuits 
de liaison physique, gen^ralement appeles "couche physique", 
li6s a un milieu de transmission qui d^finit des ports de 
communication source (ou d' entree) et/ou des ports de 
communication destinataire (ou de sortie) auxquels sont 
raccordes des materiels inf ormatiques (ou equipements ) . lis 
comprennent egalement une unite de traitement, g^neralement 
appelee "couche logique" , et une interface de connexion entre 
1' unite de traitement et les circuits de liaison, pour chacun 
des ports, selectivement . L' unite de traitement assure la 
commutation numerique de trames de donnees multichamps entre 
les differents ports, c'est-a-dire entre un port source et au 
moins un port destinataire. 

Ces commutateurs font done partie d'une installation de 
communication dans laquelle des liens physiques independants 
permettent un partage des donnees (ou informations) selon un 
mode dit "segment^" et non pas "diffuse". 

Pour assurer le bon f onctionnement d'une telle installation, 
les donnees regues par un (ou des) equipement(s) destina- 
taire(s) (que l'on assimilera dans ce qui suit au port de 
communication destinataire ou de sortie auquel il est "ratta- 





WO 01/15371 



2 



PCT/FR00/02360 



ch6" ) doivent etre sensiblement identiques a celles Praises 
par 1 ' 6quipement source (que l'on assimilera dans ce qui suit 
au port de communication source ou d' entree auquel il est 
"rattach6 M ) . 



Or, du fait de la complexity des differentes liaisons, de la 
nature meme des milieux de transmission, et des conditions 
dans lesquelles s'effectuent les echanges de trames, il 
arrive frequemment que certaines trames soient alterees 

10 pendant leur transfert de l'6quipement source vers l'^quipe- 
ment destinataire. Ceci est plus particulierement le cas des 
commutateurs du type dit "COTS" qui sont trds largement 
utilises dans 1 ' inf ormatique et les telecommunications, du 
fait, notamment, de leur faible cout et du format quasiment 

15 universel des trames. 

Cet inconvenient rend les commutateurs du type pr§cit6 
dif f icilement utilisables, voire meme inutilisables , dans 
certains domaines d' application oil la securisation des 
20 donn^es revet une grande importance. C'est par exemple le cas 
en avionique pour ce qui concerne la gestion et la commande 
du vol. 

De plus, il est important que les situations de panne et/ou 
25 les ecarts de f onctionnement soient traites. 

La pr6sente invention a done pour but de procurer un disposi- 
tif de controle pour commutateur num^rique multivoies destine 
& ameliorer la situation pr6sent6e ci-avant, notamment en 
30 matifere de security. 

Elle propose a cet effet un dispositif du type de celui 
d§crit en introduction, dans lequel on prevoit un module 
sonde couple s^lectivement a 1' interface de connexion, et un 
35 module de surveillance capable d' analyser le contenu d'une 
partie au moins de toute trame (ou cellule) de donn^es vue 
par le module sonde, et de generer un signal d'alerte lorsque 
la partie analysee ne remplit pas une condition choisie. 
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II est ainsi possible d'acceder, de fagon non intrusive et 
selective, et sur chacun des ports sous surveillance (pas 
f orcement tous ) , a tout ou partie de chaque trame en cours 
d'aiguillage dans le commutateur, de maniere & controler la 
coherence du contenu de cette trame. 

Dans un mode de realisation actuellement prefere, le module 
de surveillance est congu de maniere a declencher a l'aide du 
signal d'alerte le re jet par 1' unite de traitement de la 
trame vue par le module sonde. De la sorte, toute trame 
presentant une incoherence, quel qu'en soit le type, est 
re jetee , en d ' autres termes elle n ' est pas presentee a la 
sortie du commutateur* 

Dans une variante de ce mode de realisation, le module de 
surveillance est congu de maniere a declencher lui meme, avec 
le signal d'alerte, le re jet de la trame vue par le module 
sonde. Cela permet de gagner du temps. 

Dans une autre variante, le module de surveillance est congu 
de maniere a comptabiliser les signaux d'alerte associes a 
chaque port, et a declencher le re jet, soit par lui-meme, 
soit par 1' unite de traitement, de la trame vue par le module 
sonde, lorsque le nombre de signaux d'alerte comptabilises 
pour un port est superieur a un seuil. 

En complement, le module de surveillance peut etre agence de 
maniere a comptabiliser chaque rejet associe a chaque port 
sous surveillance, et a declencher une invalidation de la 
liaison entre un port et les circuits de liaison lorsque le 
nombre de rejets comptabilises pour ce port est superieur a 
un seuil. Bien entendu, une telle invalidation est de 
preference momentanee, de sorte qu'une fois le probleme 
resolu sur le port defaillant, celui-ci puisse etre de 
nouveau utilise en emission et/ou en reception (ou valide). 



L' invention s' applique tout particulierement , bien que de 
fagon non limitative, aux commutateurs munis d' interfaces 
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adaptees aux formats standards de trames multichamps choisis 
parmi ETHERNET, ATM et HIGH SPEED - LINK. 

Par ailleurs, 1' invention concerne egalement les commutateurs 
equip6s d'un dispositif de controle du type decrit ci-avant, 
ainsi que les installations de communication qui comprennent 
un (ou plusieurs) commutateur (s ) 6quipe(s) d'un tel disposi- 
tif. Elle s' applique tout particulierement aux installations 
de communication utilis^es en avionique pour la gestion et la 
commande du vol. 

D'autres caracteristiques et avantages de 1' invention 
apparaitront h 1'examen de la description d6taill6e qui va 
suivre et des dessins annexes, sur lesquels : 

- la figure 1 illustre de fagon schematique, et simplifi^e, 
un commutateur 6quip6 d'un dispositif de contrdle selon 
1 ' invention; 

- la figure 2 d^taille schematiquement un dispositif de 
controle selon 1 ' invention ; 

- la figure 3 est un schema illustrant une trame au format 
ETHERNET ; 

- la figure 4 est un diagramme bloc illustrant un mode de 
traitement de trame au format ETHERNET; et 

- la figure 5 illustre de fagon schematique une installation 
munie de deux commutateurs equip^s d'un dispositif de 
controle selon 1' invention. 

Les dessins annexes comportent des elements de caractere 
certain qu'il est difficile de definir completement par le 
texte. En consequence, ils pourront contribuer h la defini- 
tion de 1' invention. 
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L ' invention concerne un dispositif de controle de messages, 
ou trames, ou encore cellules, en cours d'aiguillage dans un 
commutateur numerique multivoies. 

Un tel commutateur est destine & recevoir des messages Emis 
par des Equipement s (ou plus generalement des materiels 
informatiques) selon un format prEdEterminE en vue de les 
aiguiller vers un ou plusieurs autres Equipements. L'Equipe- 
ment qui Emet un message est appelE Equipement source, tandis 
que 1' Equipement qui est le destinataire d'un message est 
appelE equipement destinataire. Bien entendu un meme Equipe- 
ment peut etre tour a tour, ou simultanement , source et 
destinataire . 

Comme cela est illustre sur les figures 1 et 2 , chaque 
Equipement E-i (ici i=l a 4) est relie au commutateur par le 
biais d'un milieu de transmission 1, qui peut etre un cable 
ou une fibre optique, ou encore 1' Ether lorsque les messages 
sont transmis par voie d'ondes. Ce milieu de transmission 
peut etre mono ou bi-directionnel. 

L'extrEmitE du milieu de transmission 1, qui est opposEe a 
1' Equipement E-i, est reliEe a des circuits de liaison 
physique 2, qui forment une interface physique ou couche 
physique. L'endroit ou s'effectue la liaison entre la couche 
physique 2 et les diffErents milieux de transmission est 
classiquement appelE port 3. Dans le commutateur, a chaque 
port 3 est associEe une identification de port qui pourra 
etre utilisEe soit en tant qu'adresse locale de port source 
(ou d'entrEe), soit en tant qu'adresse locale de port 
destinataire (ou de sortie) selon que 1' equipement auquel est 
raccordE ce port Emet le message (ou trame de donnees ) ou en 
est le destinataire. 

Sur la couche physique 2 (ou circuits de liaison physique), 
les ports 3 sont installEs en sErie (voir figure 1). 

Dans un commutateur classique (c'est-a-dire de la technique 
antErieure), l'aiguillage d'une trame qui arrive au niveau 
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d'un port 3 de la couche physique 2 est effectue par une 
unite de traitement 4, qui est appelee couche logique, ou 
encore interface logique de commutation. 

5 La couche logique 4 est liee a la couche physique 2 par 
1 ' interm^diaire d'une interface de connexion 5. 

En fait, comme cela est illustre sur la figure 2, dans les 
commutateurs de type ETHERNET ou ATM, la couche physique 2 

10 comporte une multiplicity d'emetteurs/r^cepteurs 7-i compre- 
nant une entree analogique 8-i, une sortie analogique 9-i, 
une sortie numerique 10-i et une entree numerique 11-i. Dans 
l'exemple illustre sur la figure 2, le commutateur 6tant de 
type "4x4", la variable i prend les valeurs comprises entre 

15 1 et 4. 

Par ailleurs, dans ces commutateurs, 1' units de traitement 4 
(ou couche logique) est composee d'une multiplicity d'616- 
ments de commutation 12 -i associes respectivement h un 

20 emetteur/recepteur 7-i. L' interface de connexion 5 peut done 
etre subdivisee en parties bi-directionnelles (5-i) permet- 
tant chacune de relier la sortie numerique 10-i d'un emet- 
teur/recepteur 7-i a 1' entree numerique 13-i d'un element de 
commutation 12-i, et la sortie numerique 14-i dudit Element 

25 de commutation 12-i a 1' entree numerique 11-i dudit emet- 
teur/recepteur 7-i. 

Les differents elements de commutation 12-i de la couche 
logique 4 sont interconnects s les uns aux autres, de sorte 

30 qu'a reception d'une trame sur 1' entree numerique 13-i de 
l'un d' entre eux, cette trame puisse etre transmise h un (ou 
plusieurs) autre(s) de ces elements de commutation 12- j, 
associS(s) a (ou aux) 1 'emetteur/recepteur 7-j qui alimen- 
te(nt) le (ou les) port(s) 3-j designe(s) par 1 ' intermSdiaire 

35 du champ d'adresse destinataire contenu dans la trame a 
aiguiller . 

Les circuits de liaison physique 2 sont appeles couche 
physique 2 du fait qu'ils regoivent des ports 3-i des 
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informations analogiques et transmettent a 1'unitE de 
traitement 4 des informations numEriques, via 1' interface de 
connexion 5. L'unitE de traitement 4 est appel6e couche 
logique du fait qu'elle regoit, traite et transmet des 
informations num^riques, 

Les trames qui sont 6chang6es dans un tel commutateur 
presentent un format particulier dit "multichamps", du type 
de celui illustrg sur la figure 3 (format ETHERNET) . 

Une telle trame multichamps comporte, au moins, un champ de 
d6but de trame , un champ d'adresse destinataire, un champ 
d'adresse source et un champ de donnees. Dans une installa- 
tion de communication, ces different s champs sont tou jours 
ordonn^s de la meme maniere. 

Un certain nombre de formats standards utilisent des trames 
multichamps du type de celle d^crite ci-avant r avec ou sans 
champ(s) compl6mentaire ( s ) . On pourra citer, par exemple, les 
formats standards de type ETHERNET, ATM et HIGH SPEED-LINK 
(HS-LINK) . 

De nombreux fabricants commercialisent des commutateurs 
capables de fonctionner selon les formats pr^cites. On peut 
citer, par exemple, les commutateurs ETHERNET des societ^s 

CISCO, 3COM, INTEL, IBM, HEWLETT PACKARD, D-LINK Ces 

commutateurs 6tant tres repandus sur le march6, il est 
inutile de les d^crire ici. Ceux qui appartiennent a la 
categorie dite "COTS" (pour "Commercial Of The Shelves", 
c'est a dire "composant du commerce largement utilis6" ) 
presentent l'avantage de traiter des trames dont le format 
est universellement utilise, contrairement a d'autres formats 
specifiques tels que celui de la norme ARINC (429 ou 629). 

A titre d' exemple, on pourra utiliser une interface de 
connexion ETHERNET de type "medium independent interface" 
(Mil) ou de ses Evolutions telles que, par exemple, RMII 
(Reduce Mil), ou une interface de connexion ATM de type 
UTOPIA. 
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Quel que soit le format de 1 ' installation de communication , 
une trame arrive par un port source 3-i, est transferee a 
1 ' emetteur /recepteur 7-i de la couche physique 2, emprunte la 
partie 5-i de 1' interface de connexion 5 qui est raccordee a 
1' Emetteur /recepteur 7-i pour atteindre 1' element de commuta- 
tion 12-i de la couche logique 4. son champ d'adresse 
destinataire est analyst de maniere h determiner le port 
destinataire 3-j correspondant . La trame est alors communi- 
quee & 1' element de commutation 12- j, puis £ 1' emetteur /re- 
cepteur 7-j via la partie 5-j de 1' interface de connexion, en 
vue de son Emission par le port 3-j . 

Comme cela a ete indique dans 1 ' introduction, il arrive 
frequerament que des trames a aiguiller soient alterees avant 
d'arriver au comrautateur, ou bien que le commutateur altere 
des trames regues, pendant 1' aiguillage. 

L' invention ayant pour but d'ameiiorer la situation, elle 
propose a cet ef fet un dispositif de controle de la coherence 
des trames de donnees qui sont aiguiliees dans un commutateur 
numerique multivoies entre un port source et un ou plusieurs 
ports destinataires . 

Un tel dispositif comprend tout d'abord un module sonde 6 
capable d' observer a la volee sur 1' interface de connexion 5 
les trames de donnees qui transitent entre la couche physique 
2 et la couche logique 4. Dans ce qui suit, on qualifiera de 
"montante" une transmission de la couche physique 2 vers la 
couche logique 4, et de "descendante" une transmission de la 
couche logique 4 vers la couche physique 2 . 

La demanderesse s'est en effet apergue qu'il etait particu- 
lierement avantageux d' observer les trames montantes et/ou 
descendantes sur les differentes parties 5-i de 1' interface 
de connexion* Cela resulte du fait que les donnees qui circu- 
lent sur cette interface 5 sont numeriques et totalement 
representatives, car identiques, des informations des trames 
h commuter* 
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Le module sonde 6 de 1' invention observe chaque partie 5-i de 
1' interface de connexion qui relie un element de commutation 
12-i k un emetteur/r^cepteur 7-i. Dans l'exemple illustre 
cette observation s'effectue sur chaque partie montante 5-i M 
et sur chaque partie descendante 5-i D . Bien entendu, on 
pourrait effectuer des observations seulement sur une ou 
plusieurs parties montantes ou bien seulement sur une ou 
plusieurs parties descendantes , ou bien encore sur certaines 
parties montantes et certaines parties descendantes. 

II est ainsi possible d' observer selectivement les trames. 

Dans l'exemple de la figure 2, chaque partie montante 5-i M de 
1' interface de connexion est observee independamment des 
autres parties montantes par un sous-module sonde 6-i M , et 
chaque partie descendante 5-i D de 1' interface de connexion est 
observee independamment des autres parties descendantes par 
un sous-module sonde 6-i D . Cela assure 1 ' independance des 
observations effectuees sur la partie montante de celles 
effectuees sur la partie descendante. Chaque sous-module 
sonde pourra etre realise sous la forme d'une liaison. 

Chaque sous-module sonde 6-i M alimente un sous-module de 
surveillance montant 15-i M , et chaque sous-module sonde 6-i D 
alimente un sous-module de surveillance descendant 15-i D . 

Ces differents sous-modules de surveillance 15-i forment 
ensemble un module de surveillance 15. Cependant, il est 
pr6f6rable, mais non indispensable, que les sous-modules 
sonde 15-i M et 15-i D constituent physiquement un meme sous- 
module 15-i, dans la mesure ou ils gerent un meme port 3-i. 

Chaque sous-module de surveillance montant 15-i M et descendant 
15-i D est congu pour analyser au moins une partie d'un champ 
de la trame observee qui circule sur la partie de 1' interface 
de connexion 5 concern6e. En consequence, chaque sous -module 
de surveillance 15-i, montant ou descendant, est capable de 
reconnaitre parmi les champs qui lui sont transmis par le 
sous-module sonde 6-i associe, le champ ou les champs qu'il 
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doit analyser. De preference, chaque sous-module de surveil- 
lance 15-i est configure (ou programme) de maniere ci analyser 
success ivement, c'est-a-dire au fur et a mesure de leur 
transfert d'un emetteur/recepteur 7-i vers un Element de 
commutation 12-i associe, ou r6ciproquement f plusieurs champs 
d'une meme trame, et notamment le champ d'adresse destinatai- 
re, le champ d'adresse source et le champ de type de trame* 

Les differents sous-modules de surveillance 15-i, qu'ils 
soient montants ou descendants, peuvent presenter des 
configurations differentes selon le type d'equipement dont 
ils surveillent la commutation de fagon selective. De la 
sorte, on constitue des modules de surveillance locaux 
adaptes aux besoins de chaque port 3-i. 

La gestion de la configuration de chaque sous-module 15-i est 
effectuee, de preference, par une partie du dispositif selon 
1' invention couplee au module de surveillance 15. Cette 
partie, qui est appelee unite de controle 16, regoit et 
transmet des "informations" num^riques aux differents sous- 
modules de surveillance 15-i via une liaison 17 M (montante) 
ou 17 D (descendante) . 

Comme on le verra plus loin, 1 'unite de controle 16 assure de 
preference d'autres taches que la gestion de la configuration 
des sous-modules. 

Pour decrire le mecanisme de surveillance effectue par un 
dispositif de controle selon 1' invention, on se r£fere 
maintenant aux figures 3 et 4 . 

Sur la figure 3 se trouve illustree une trame au format 
ETHERNET. Comme indique precedemment , elle comprend un champ 
de debut de trame, puis un champ d'adresse destinataire 
(§galement appelee adresse MAC destinataire), puis un champ 
d'adresse source (egalement appelee adresse MAC source), puis 
un champ de type de trame. Elle comporte ensuite un champ de 
donnees et un champ CRC (acronyme anglais de "Cyclic Redun- 
dancy Check) . 
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Les champs d'une trame multichamps sont transmis les uns 
apres les autres, dans 1'ordre indiqu6 ci-avant, lorsque la 
-trame est transf(§r6e de la couche physique 2 vers la couche 
logique 4, et reciproquement . II est par consequent possible 
d' analyser le contenu d'au moins une partie d'un ou plusieurs 
champs qui se suivent pour verifier la coherence de la trame 
(ou cellule) . 

II est clair que les trames qui pr^sentent des formats 
diff^rents de celui d ' ETHERNET n'auront pas exactement la 
meme configuration que celle illustree sur la figure 3. Par 
exemple, dans le format ATM/ apres le debut de trame, le 
premier champ est un champ appele "Virtual Path Identifier", 
le second champ est un champ appele "Virtual Channel Identi- 
fier" , le troisieme champ est un champ appel6 "Payload Type". 
On trouve ensuite un champ de priorite et de controle, et un 
champ de donnees . 

D'une fagon plus generale, une trame peut comporter au moins 
un ou plusieurs champs dits physiques, qui d^signent un ou 
plusieurs "canaux" physiques tels qu'un port source ou un 
port destinataire, un ou plusieurs champs dits logiques, qui 
designent un ou plusieurs "canaux" logiques tels qu'un flux, 
et un champ de donnees. 

Comme cela est illustre sur la figure 4, dans le cas d'une 
trame au format ETHERNET en cours de transfert de l'emet- 
teur/r£cepteur 7-1 vers 1' element de commutation associe 12- 
1, la partie montante 6-l M du module sonde, qui est relive a 
la partie montante 5-l M de 1' interface de connexion, transmet, 
d£s qu'elle 1' observe, ie champ de debut de trame au sous- 
module de surveillance 15-1 M . Ce sous-module est ainsi averti 
qu'il va devoir analyser une trame de donn6es montante. Cela 
constitue l'etape 100 sur laquelle on reviendra plus loin 
dans le cadre d'une analyse dynamique des trames. 

Des que le second champ d'adresse destinataire est observe 
(et done reconstitu6) par la partie montante 6-l M du module 
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sonde, elle est transmise au sous-module de surveillance 15-1 M 
en vue de son analyse dans une 6tape 110. 

Cette analyse a pour but de verifier si l'adresse du destina- 
taire de la trame correspond a 1'un des ports 3-i geres par 
le commutateur. A cet effet, le module de surveillance 15 
comporte une m6moire 18 dans laquelle se trouve stockee une 
table de correspondance entre chaque port 3-i du commutateur 
et les adresses destinataire autoris6es pour ce port. Par une 
confrontation entre les informations contenues dans le champ 
et celles contenues dans la table de correspondance, on peut 
verifier, instantan^ment , la coherence trame-port, c'est a 
dire donner ou refuser 1 ' autorisation de communiquer avec le 
port d6sign6 par l'adresse destinataire. 



La table de correspondance peut etre commune & tous les sous- 
modules de surveillance 15-i, mais elle peut 6galement, comme 
cela est illustr§ sur la figure 2, etre subdivisee en 
plusieurs (i) parties associ^es respectivement aux diff brents 

20 ports. Dans ce cas, chaque sous-module de surveillance 15-i 
comporte une m^moire modifiable 18-i, telle qu'une m^moire 
vive, un ensemble (ou banque) de registres associ^s chacun a 
un port et a contenu individuellement configurable, ou, mieux 
encore, une memoire de type flash, qui comporte la liste des 

25 trames (messages, cellules) autorisees pour chacun des ports 
3-j. L'expression "liste de trames" doit etre comprise dans 
un sens large. Elle inclue pour chaque port, tous les ports 
avec lesquels il peut echanger des trames, les differents 
types de trames autorises, les longueurs de trame selon le 

30 type de flux, etc. 



De preference la memoire modifiable 18 peut etre accedee en 
lecture et/ou en 6criture de maniere a permettre la surveil- 
lance de son contenu. 

Si l'adresse est incoherente, le sous-module de surveillance 
15-1 m transmet, dans ce mode de realisation, a 1' unite de 
controle 16, via la liaison 17 M , un signal d'alerte indiquant 
une incoherence sur l'adresse du port destinataire. 
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Deux modes de realisation peuvent etre envisages a ce stade. 
Dans un premier mode, a reception du signal d'alerte 1' unite 
de controle 16 va adresser a 1' Element de commutation 12-1 un 
signal lui ordonnant de ne pas transferer la trame en cours 
de transfers Cela entraine done un re jet de la trame. 

Dans un second mode, chaque sous-module de surveillance 15-i M 
agit directement sur 1' element de commutation 12-i qui lui 
est associe, sans qu'il soit necessaire de passer par 1' unite 
de controle 16, II comprend pour ce faire une sortie 19 M qui 
est reliee a 1' element de commutation 12-i pour lui deiivrer 
le signal d'alerte destine a declencher le re jet de la trame 
en cours de trans fert. Neanmoins, 1' unite de controle 16 est 
de preference avertie, par chaque sous-module de surveillance 
15-i ou par chaque Element de commutation 12-i, de chaque 
re jet associe a chaque port, de maniere a comptabiliser pour 
chaque port, qu'il soit source ou destinataire, le nombre de 
re jets de trame dont il a fait l'objet. 

La comptabilisation des re jets (ou des signaux d'alerte) est 
applicable aux deux modes precites. L' unite de controle 16 
peut ainsi, lorsque le nombre de re jets associes a un port 3- 
i depasse un seuil choisi, par exemple egal a dix, decider 
d'invalider ce port 3-i. A cet effet, 1' unite de controle 16 
est reliee par une liaison 20 a la couche physique 2, et de 
preference a chacun de ses emetteurs / recepteur s 7-i. 

II est bien evident, que des seuils d ' invalidation differents 
peuvent etre envisages pour des ports differents, selon les 
besoins, et notamment selon le degre de security requis en 
chaque port. 

On peut envisager que 1' unite de controle 16 ait la possibi- 
lity de forcer l'aiguillage d'une trame, alors meme qu'un 
sous-module de surveillance 15-i a declenche le rejet de la 
trame dans 1' element de commutation associe 12-i. 

Pour le traitement des trames descendantes , on prevoit, au 
lieu de la liaison 17 M , une liaison 17 D entre chaque sous- 
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module de surveillance 15-i D et l f unite de controle 16 , pour 
transmettre le signal d'alerte destine & declencher le re jet 
d'une trame descendante en cours de transfert. Bien entendu, 
comme indique pr^cederament , chaque sous-module de surveil- 
5 lance 15-i D pourrait agir directement sur 1 ' 6metteur/recepteur 
7-i qui lui est associe, sans qu'il soit necessaire de passer 
par 1' unite de contrdle 16. II comprend dans ce cas une 
sortie 19 D qui est reliee a 1 'emetteur/r^cepteur 7-i pour lui 
delivrer le signal d'alerte destine a declencher le re jet de 

10 la trame en cours de transfert. Neanmoins, lorsqu'une unite 
de controle 16 est prevue, celle-ci est avertie de preferen- 
ce, par chaque sous-module de surveillance 15-i (par exemple 
via la liaison 17) ou par chaque 6metteur/recepteur 7-i (par 
exemple par la liaison 20 qui est dans ce cas bidirectionnel- 

15 le), de chaque rejet associe a chaque port, de maniere a 
comptabiliser pour chaque port, qu'il soit source ou destina- 
taire, le nombre de re jets de trame dont il a fait 1'objet. 

Dans une variante, on peut envisager un mode de rejet de 
trame fonctionnant sur une comptabilisation des signaux 
d'alerte. Dans ce cas, l'unit6 de controle 16 comptabilise 
pour chaque port 3-i les signaux d'alerte (ou signaux 
d' incoherence) qui sont fournis par les sous-modules de 
surveillance 15-i M et 15-i D , de sorte que seule soit rejetee 
une trame incoherente arrivant apres N precedentes trames 
incoherentes . N d^signe ici un nombre seuil qui peut etre 
6gal, par exemple, & quatre ou cinq. Bien entendu, chaque 
sous-module de surveillance 15-i pourrait effectuer cette 
operation de comptabilisation de signaux d'alerte pour son 
port 3-i, en lieu et place de l'unit6 de controle 16. 

Si le resultat de 1' analyse effectuee h 1'etape 110 n' indique 
pas d' incoherence, alors on passe a 1'etape 120 dans laquelle 
le sous-module de surveillance 15-1 M procfede h. 1' analyse du 
35 champ d'adresse du port source qui vient d'etre observe (et 
done reconstitu6) par le module sonde 6 M sur la partie 
montante 5 M de 1 ' interface de connexion . 



20 
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Comme pour le champ precedent, il s'agit d'effectuer une 
comparaison entre l'adresse du port source contenue dans la 
trame en cours de transfert et les adresses des ports qui 
sont contenues dans la table de correspondance 18 (ou 18-1). 

Comme precedemment, si une incoherence est detect§e, un 
signal d'alerte est emis par le sous-module de surveillance 
15-1 M en direction de 1' unite de controle 16 et/ou de 
l'element de commutation 12-1 (par la liaison 19 M ), selon le 
mode de realisation concerne. Cela aura pour effet, soit de 
declencher le re jet de la trame en cours de transfert, soit 
d' incrementer d'une unite la valeur de la variable de 
comptabilisation des signaux d'alerte (dans le cas d'une 
analyse statistique ) . 

En 1' absence de detection d' incoherence , on passe & une etape 
130 dans laquelle le sous-module de surveillance 15-1 M procfede 
& 1' analyse du champ de type de trames qui lui est fourni par 
le module sonde 6 M apres son observation sur la partie montan- 
te 5 M de 1' interface de connexion. 

Cette analyse du type de trame consiste a verifier si le type 
contenu dans le champ observe fait partie d'une liste de 
types qui se trouve memoris^e, par exemple dans la memoire 18 
(ou 18-i). Bien entendu, dans une variante, au lieu d'une 
liste de types de trames on peut ne pr6voir qu'un unique 
type associe a chaque port. 

Lorsque le type de trames ne correspond pas & celui ou ceux 
stockes, un signal d'alerte peut §tre emis par le sous-module 
de surveillance 15-1 M en vue, soit d'un rejet iramediat, soit 
d'un rejet eventuel (dans le cas statistique). 

En 1' absence d' incoherence , le sous-module de surveillance 
15-1 M va proceder a une analyse que 1'on pourrait qualifier 
de "dynamique" par opposition aux analyses effectuees aux 
etapes 100 ^ 130, lesquelles sont plutot de type "statique" . 
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Une trame de donn^es n ' est generalement pas isolee a 1 ' inte- 
rieur d'une installation de communication. Elle appartient a 
un flux de trames qui peut etre specif ique ou non specif ique. 
A titre d'exemple, dans le domaine de 1'avionique, on definit 
5 au moins trois niveaux de flux diff^rents associes respecti- 
vement a des informations k tres haut niveau de priorite, 
telles que des informations p^riodiques (critiques), & haut 
niveau de priorite, telles que des informations ap^riodiques 
urgentes, et a faible niveau de priority , telles que les 
10 informations ap^riodiques non urgentes. 

On peut ainsi autoriser & l'aide de 1 'unite de contrdle 16, 
dans chaque sous-module de surveillance 15-i M et 15-i D , un ou 
plusieurs flux differents associes a des types de trames 
15 differents. 

Dans une etape 140, on effectue une ou plusieurs mesures 
portant sur le flux associ6 au type de trame d6tect€ lors de 
l'6tape 130. II pourra s'agir, par exemple, d'une mesure du 

20 taux d' utilisation global par unite de temps, ou par cycles 
pr6d€finis, du port consid<§re (ici le port 3-1). II pourra 
s'agir d'une mesure pour chaque type de flux identify du 
nombre de trames associe par unite de temps ou par cycles 
pred^finis. II pourra encore s'agir d'une mesure pour chaque 

25 type de flux de la longueur de la trame par flux. II pourra 
egalement s'agir d'une mesure de distance temporelle entre 
trames . 

Certaines de ces analyses dynamiques de trames, notamment les 
30 deux dernieres, utilisent le champ de d6but de trame pour 
leurs mesures, lequel est determine a l'6tape 100. 

La mesure de la distance temporelle separant deux debuts de 
trames consecutives pourra s'appuyer sur 1' acquisition, lors 
35 de chaque reception d'un d6but de trame, de 1'heure courante 
g#r6e par chaque sous-module de surveillance 15-i M et 15-i D 
et la comparaison avec 1'heure attendue pour une trame de 
meme type. 
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L' analyse effectuee lors de cette 6tape 140 consiste done, 
dans le sens montant, & surveiller la capacity de l'equipe- 
ment source (ou 6ventuellement d'un autre commutateur amont) 
h gen^rer des trames compatibles (ou coh^rentes ) , en termes 
5 de quantite d' informations et de quality de flux, avec le 
port auquel il est rattache. Dans le sens descendant, 
1' analyse consiste a surveiller la capacity de 1' unite de 
traitement 4 (ou couche logique) a restituer correctement des 
flux d' informations sur un ou plusieurs ports destinataires. 

10 

De fagon plus gen^rale, 1' ensemble des analyses effectuees 
dans le sens montant, sur chaque port, consiste en un 
controle d f admission, tandis que 1' ensemble des analyses 
effectuees dans le sens descendant, tou jours sur chaque port, 
15 consiste en un controle de restitution. 

Bien que les champs soient transmis au fur et h mesure de 
leur observation, e'est-a-dire pendant leur transfert d'une 
couche vers une autre, il est possible d'envisager une 
20 analyse de champs en parall^le, notamment lorsque l'une des 
analyses requiert un temps d' analyse plus long que celui 
n§cessaire a 1' analyse du champ suivant. 

Par ailleurs, on pourrait 6galement envisager de n' analyser 
25 qu'une partie d'un champ, et non pas le champ complet. Tel 
pourrait etre le cas, notamment, d'une analyse du champ de 
donn^es. On peut en effet envisager de placer dans ce champ 
de donnees une information specif ique qui, lorsqu'elle 
possede une valeur diff^rente d'une (ou plusieurs) valeur(s) 
30 pr6d6terminee ( s ) , ou bien lorsqu'elle n'est pas presente, 
provoque la g6n6ration d'un signal d'alerte. 

Neanmoins, 1' analyse d'une partie du champ de donnees 
presente quelques risques, dans la mesure ou 1' analyse doit 
35 etre terminee avant que la trame en cours de transfert n'ait 
et6 int^gralement transmise soit a la couche logique lors- 
qu'il s'agit d'une trame montante, soit a la couche physique 
lorsqu'il s'agit d'une trame descendante. 
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Dans ce qui precede, on a decrit une analyse multiple. Mais 
il est clair que 1'on pourrait effectuer une unique analyse, 
soit statique, c'est-a-dire portant sur le champ adresse du 
port destinataire ou le champ adresse du port source, ou sur 
le champ du type de trame, soit une analyse purement dynami- 
que, c'est-a-dire portant sur le flux associ^ au type de la 
trame . 

En resume, le m6canisme de surveillance mis en oeuvre par le 
dispositif de controle selon 1' invention comporte quatre 
stapes successives, une premiere etape d' observation, une 
seconde 6tape de detection, une troisieme ttape d' action, et 
une quatrieme 6tape de confinement des erreurs. 

Comme cela est illustre sur la figure 5, les trames de 
donnees qui arrivent sur les ports d'un premier commutateur 
ne sont pas obligatoirement issues d'un equipement tel qu'un 
calculateur ou un capteur. En effet, elles peuvent provenir 
de tout type de materiel informatique travaillant selon le 
format du commutateur equips du dispositif selon 1' invention, 
et notamment d'un port destinataire d'un autre commutateur. 
De meme, le port destinataire d'un premier commutateur peut 
etre relie par un milieu de transmission au port source d'un 
second commutateur. II est important de noter que 1'un des 
deux commutateur s peut ne pas etre equips d'un dispositif 
selon 1 ' invention . 

Le dispositif selon 1' invention comprend, de preference, une 
partie purement mat6rielle ("hardware"), constitute notamment 
du module sonde et de la memoire de stockage des informations 
specif iques aux analyses (telles que la liste des adresses 
autorisees, la liste des types autoris£s, la liste des 
gabarits ou flux autorises), et d'une partie purement 
logicielle ("software"), de preference reprogrammable, pour 
le reste. Le dispositif de controle selon 1' invention pourra 
done etre fabriqut sous la forme, par exemple, d'un ASIC 
couple a une memoire modifiable (vive ou flash), ou d'un ASIC 
avec une banque de registres; un ASIC pouvant assurer la 
surveillance d'un ou plusieurs ports. 
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Grace a l f invention, il est possible d'effectuer une surveil- 
lance/detection en temps reel qui permet d'agir sur la trame 
en cours (principe de "fault containment"). De plus, la 
performance du commutateur ne se trouve pas degradee car la 
5 surveillance/detection s'effectue en parallele. Enfin, cette 
invention permet d'obtenir des taux d'erreur non detectee 
trfes faibles car il existe une decorreiation totale de 
1' implementation du principe (mecanisme de surveillance) 
relativement a l'objet de la surveillance, c'est k dire entre 
10 le transfert et la commutation des donnees; en d'autres 
termes, il n'y a pas de lien entre la surveillance et le 
transfert. 

L' invention ne se limite pas aux modes de realisation decrits 
15 precedemment , mais elle embrasse toutes les variantes que 
pourra developper l'homme de l'art dans le cadre des revendi- 
cations ci-aprds . 

Ainsi, on a decrit des exemples de realisation dans lesquels 
20 chaque port du commutateur est surveilie par le dispositif 
selon 1' invention. Cependant, on peut envisager que seulement 
certains des ports soient sous-surveillance, par exemple 
uniquement les ports d' entree (source) ou uniquement les 
ports de sortie (destinataire) , ou toute combinaison port 
25 d' entree/port de sortie. 

L' invention embrasse par ailleurs les commutateurs equipes 
d'un dispositif selon 1' invention, ainsi que les installa- 
tions de communication equipees d'un ou plusieurs commuta- 
30 teurs munis d'un dispositif selon 1' invention. 

Par ailleurs, 1' invention a ete decrite en reference a 
1' analyse de trames au format ETHERNET. Mais, 1' invention 
concerne d'autres types de trames, tels que ceux de type ATM, 
35 ou ceux comprenant plus generalement des champs de canaux 
physique(s) et/ou logique(s). Dans ces variantes, le module 
sera done agence pour voir un ou plusieurs de leurs champs 
respectifs et le module de surveillance effectuera sa 
comparaison de preference sur le champ Virtual Path Identi- 
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fier, puis sur le champ Virtual Channel Identifier, et sur le 
champ de canal logique, puis sur le champ de canal physique, 
respectivement . 
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Revendications 



1. Dispositif de controle pour commutateur numerique 
multivoies, ledit commutateur comprenant une interface (5) de 

5 connexion entre des circuits (2,7) de liaison physique avec 
un milieu de transmission ( 1 ) , d6f inissant des ports source 
et/ou destinataire (3), et une unite de traitement (4,12) 
assurant la commutation selective de trames de donn^es multi- 
champs entre ces diff brents ports, 

10 caracteris6 en ce qu'il comprend un module sonde (6) 

couple s^lectivement a ladite interface de connexion ( 5 ) , et 
un module de surveillance (15) capable d' analyser le contenu 
d'une partie au moins des trames de donnees vues par le 
module sonde (6), et de generer un signal d'alerte lorsque la 

15 partie analys^e ne remplit pas une condition choisie. 

2. Dispositif selon la revendication 1, caract6ris6 en ce 
que ledit module de surveillance (15) est agenc€ pour 
analyser le contenu d'au moins une partie d'au moins un champ 

20 de chaque trame vue par le module sonde (6). 

3. Dispositif selon la revendication 2, caracteris6 en ce 
que ledit module de surveillance (15) est agence pour 
analyser le contenu d'au moins une partie de chaque champ de 

25 chaque trame vue par le module sonde (6). 

4. Dispositif selon l'une des revendications 1 ^ 3, 
caract6ris6 en ce que ledit module sonde (6) est agence pour 
voir des trames comportant au moins un champ de canal 

30 logique, un champ de canal physique et un champ de donn6es. 

5. Dispositif selon l'une des revendications 1 a 3, 
caracteris6 en ce que ledit module sonde (6) est agenc6 pour 
voir des trames comportant au moins un champ de d6but de 

35 trame, un champ d'adresse de port destinataire, un champ 
d'adresse de port source et un champ de donnees. 

6. Dispositif selon l'une des revendications 1 a 3, 
caract6ris£ en ce que ledit module sonde (6) est agenc€ pour 
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voir des trames comportant au moins un champ appele "Virtual 
Path Identifier" , un champ appele "Virtual Channel Identi- 
fier" , un champ appele "Pay load Type" et un champ de donn6es. 

5 7. Dispositif selon 1'une des revendications 4 a 6, 
caract6ris6 en ce que ledit module de surveillance (15) 
comporte une table de correspondence specif iant pour chaque 
port (3) reli6 aux circuits de liaison (2,7) une liste de 
trames autoris6es comportant au moins les ports (3) avec 

10 lesquels il peut echanger lesdites trames, et en ce que ledit 
module de surveillance (15) est agence pour comparer le 
contenu de cette table de correspondance h celui de l'un au 
moins des champs de la trame en cours de transfert, pour 
g6n6rer ledit signal d'alerte lorsque son ou ses champs 

15 analyses d^signent un port qui ne poss^de pas de correspon- 
dance avec le port source ayant emis la trame, cette corres- 
pondance formant ladite condition choisie. 

8. Commutateur selon la revendication 7 en combinaison avec 
20 la revendication 4, caracteris6 en ce que le(s)dit(s) champs 
de trame analyses) est (sont) choisi(s) parmi au moins le 
champ de canal logique et le champ de canal physique. 

9- Commutateur selon la revendication 7 en combinaison avec 
25 la revendication 5, caract^rise en ce que le(s)dit(s) champs 
de trame analyses est (sont) choisi(s) parmi au moins le 
champ d'adresse du port destinataire de la trame et le champ 
d'adresse du port source de cette trame. 

30 10. Commutateur selon la revendication 7 en combinaison avec 
la revendication 6, caract^rise en ce que le(s)dit(s) champs 
de trame analyses est (sont) choisi(s) parmi au moins le A 
champ Virtual Path Identifier et le champ Virtual Channel 
Identifier. 

35 

11. Commutateur selon l'une des revendications 7 Si 10, 
caracteris6 en ce que ladite table de correspondance comporte 
pour chaque port source ou destinataire au moins une liste 
des adresses destinataire associees, une liste des adresses 
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source associees, une liste de types de flux de trames 
autorises sur ledit port, accompagnee des caracteristiques 
temporelles de chacun desdits flux, et une liste des lon- 
gueurs de trames autoris^es & circuler sur ledit port. 

12. Commutateur selon la revendication precedente, caracte- 
rise en ce que ladite table de correspondance est stockee 
dans une memoire modifiable (18) choisie parmi au moins une 
memoire vive, une memoire de type "flash", et un ensemble de 

10 registres associes chacun a un port et a contenu individuel- 
lement configurable. 

13. Dispositif selon la revendication 12, caracterise en ce 
que ladite memoire est agencee pour permettre son acces en 

15 ecriture et/ou en lecture en vue d'une surveillance. 

14. Dispositif selon l'une des revendications 7 h 13 en 
combinaison avec la revendication 4 , caracterise en ce que 
ledit module de surveillance (15) est agence pour effectuer 

20 sa comparaison sur le champ de canal logique, puis sur le 
champ de canal physique. 

15. Dispositif selon l'une des revendications 7 a 13 en 
combinaison avec la revendication 5, caracterise en ce que 

25 ledit module de surveillance (15) est agence pour effectuer 
sa comparaison sur le champ d'adresse destinataire, puis sur 
le champ d'adresse source. 

16. Dispositif selon l'une des revendications 7 a 13 en 
30 combinaison avec la revendication 6, caracterise en ce que 

ledit module de surveillance (15) est agence pour effectuer 
sa comparaison sur le champ Virtual Path Identifier, puis sur 
le champ Virtual Channel Identifier. 

35 17. Dispositif selon l'une des revendications 4 a 16, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour determiner si le contenu du champ de donnees de 
la trame vue par le module sonde ( 6 ) presente un format 
predetermine et pour g6n6rer ledit signal d'alerte lorsqu'une 
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partie au moins dudit champ de donnees ne verifie pas ledit 
format , cette verification de format formant ladite condition 
choisie. 

18. Dispositif selon l'une des revendications 4 a 17, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour determiner le type de la trame vue par le module 
sonde (6) par analyse du contenu de son champ de type, pour 
generer ledit signal d'alerte lorsque ledit champ de type ne 
correspond pas au type predetermine associe au port ayant 
ends ladite trame, cette verification de type formant ladite 
condition choisie. 

19. Dispositif selon l'une des revendications 4 h 18, 
caractSrise en ce que ledit module de surveillance (15) est 
agence pour mesurer le debit des trames vues par le module 
sonde (6), en fonction de leur type, et pour generer ledit 
signal d'alerte lorsque ledit debit mesure associe a son type 
ne correspond pas a un debit predetermine, cette verification 
de d6bit formant ladite condition choisie. 

20. Dispositif selon l'une des revendications 4 a 19, 
caracterise en ce que ledit module de surveillance (15) est 
agenc6 pour mesurer pour chaque port source 1' ecart temporel 
entre les trames de meme type qu'il a emises, et pour generer 
ledit signal d'alerte lorsque 1' ecart mesure associe a son 
type ne correspond pas a un ecart predetermine, cette 
verification d' ecart formant ladite condition choisie. 

21. Dispositif selon l'une des revendications 4 a 19, 
caracterise en ce que ledit module de surveillance (15) est 
agence pour mesurer pour chaque port destinataire 1' ecart 
temporel entre les trames de meme type qu'il a regues, et 
pour generer ledit signal d'alerte lorsque 1' ecart mesure 
associe a son type ne correspond pas ci un ecart predetermine, 
cette verification d' ecart formant ladite condition choisie. 

22. Dispositif selon l'une des revendications 4 h 21, 
caracterise en ce que ledit module de surveillance (15) est 
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agence pour mesurer la longueur de chague trame vue par le 
module sonde (6), et pour generer ledit signal d'alerte 
lorsque sa longueur mesuree ne correspond pas h une longueur 
predeterminee associee a son type, cette verification de 
> longueur formant ladite condition choisie. 

23. Dispositif selon l'une des revendications 4 a 22 , 
caracterise en ce que ledit module de surveillance (15) est 
agence pour comptabiliser en chaque port le nombre de trame 

) qu'il emet et le nombre de trame qu'il regoit, de mani&re a 
estimer pour chaque port un taux d' utilisation, et declencher 
une invalidation de la liaison entre un port et les circuits 
de liaison (2,7) auxquels il est relie lorsque son taux 
d' utilisation estime ne correspond pas a un taux predetermine 

5 associe au type de trame de ce port. 

24. Dispositif selon l'une des revendications 1 h 23, carac- 
terise en ce que ledit module de surveillance (15) est agence 
pour comptabiliser chaque generation de signal d'alerte 

0 associe a chaque port et pour declencher une invalidation de 
la liaison entre un port et les circuits de liaison lorsque 
le nombre de generation de signaux d'alerte comptabilise pour 
ce port est superieur & un seuil. 

25 25. Dispositif selon l'une des revendications 1 & 24, carac- 
terise en ce que ledit module de surveillance (15) est agence 
pour comptabiliser chaque generation de signal d'alerte 
associe a chaque port et pour declencher un re jet par 1' unite 
de traitement (4,12) de la trame vue par le module sonde (6), 

30 lorsque le nombre de generations de signaux d'alerte compta- 
bilise pour un port est superieur a un seuil. 

26. Dispositif selon l'une des revendications 1 h 24, carac- 
terise en ce que ledit module de surveillance (15) est agence 
35 pour comptabiliser chaque generation de signal d'alerte 
associe & chaque port et pour declencher un rejet de la trame 
vue par le module sonde ( 6 ) , lorsque le nombre de generations 
de signaux d'alerte comptabilise pour un port est superieur 
& un seuil. 
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27. Dispositif selon l'une des revendications 1 £ 24, 
caracterise en ce que ledit module de surveillance (15) est 
agenc6 pour d6clencher, avec ledit signal d'alerte, le re jet 
de la trame vue par le module sonde ( 6 ) • 

28. Dispositif selon l'une des revendications 1 a 24, 
caract6ris6 en ce que ledit module de surveillance (15) est 
agenc6 pour d^clencher, avec ledit signal d'alerte, le re jet 
par l'unit6 de traitement de la trame vue par le module sonde 



29. Dispositif selon l'une des revendication 27 et 28, 
caracterise en ce que ledit module de surveillance (15) est 
agenc6 pour comptabiliser chaque rejet associe & chaque port 

15 et pour d6clencher une invalidation de la liaison entre un 
port et les circuits de liaison (2,7) lorsque le nombre de 
re jets comptabilis^ pour ce port est sup6rieur a un seuil. 

30. Commutateur, caract6ris6 en ce qu'il comporte un 
20 dispositif selon l'une des revendications pr6c6dentes. 

31. Installation de communication, caract6ris6e en ce 
qu'elle comporte au moins un commutateur equipe d'au moins un 
dispositif selon l'une des revendications 1 & 29, les ports 

25 dudit commutateur 6tant relies a des 6quipements et des 
calculateurs . 

32. Installation selon la revendication 31, caract6ris6e en 
ce qu'elle est implant^e dans un a6ronef comprenant un calcu- 

30 lateur de gestion de vol et un calculateur de commande de 
vol. 
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